Infektion ?

Hallo Zusammen,
nachdem ich ein Passwort bei einem M365 Mailkonto geändert habe,
gingen die Fehlanmeldungen des Kontos hoch.
Der User hat dieses auch auf seinem privaten Rechner benutzt, bevor der Firmenlaptop da war.
Ich vermute, dieser ist irgendwie infiziert und jetzt versucht man das via Brute Force wieder zu erlangen.
Wer kann helfen- wo sollte ich ansetzen ?

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 7311997988

Url: https://administrator.de/contentid/7311997988

Ausgedruckt am: 26.11.2024 um 04:11 Uhr

10 Kommentare

Neuester Kommentar

Hi,

betroffenen Rechner neu installieren und Passwörter ändern.

-Thomas

steht die Frage im Raum- welcher von beiden Rechnern der Übeltäter ist.
Problem- der Rechner steht in Italien.

Moin,

sind die anmeldeversuche von der selben Adresse?
Ich vermute eher das auf einem gerät halt noch ein login mit alten credentials versucht wird.

Edit: erübrigt sich ja mit dem Screenshot. Sorry.
Ich würde den Rechner platt machen und 2FA aktivieren.

Gruß
Spirit

Zitat von @presonus:

steht die Frage im Raum- welcher von beiden Rechnern der Übeltäter ist.
Problem- der Rechner steht in Italien.

Im Zweifelsfall beide! Wobei dein Einflussbereich sich nur auf das Firmenlaptop beschränkt. Bei privaten Geräten kannst du den Eigentümer nur eindringlich Bitten sein Gerät neu auf zu setzten - durchsetzen kannst du es nicht. Ist halt sein Eigentum. Das ist einer der Nachteile von BYOD.

Meine Vermutung ist auch, dass die Credentials für das Microsoft-Konto von einem der Rechner abgegriffen wurden und nun im Umlauf sind. Da helfen nur starke Passwörter und 2FA, um zu verhindern, dass ein "böser Bube" Zugriff bekommt. Dass irgendwer versucht sich an ein Konto anzumelden, wirst du nicht verhindern können, da die Cloud-Anwendung nicht in deinem Einflussbereich liegt (anders als bei einer on-prem-Infrastruktur, wo eine Firewall IPs aus z.B. China ausschließen könnte).

Gruß
TA

bei pwned isses jedenfalls noch nicht gelistet.

Servus,

Laut screener kommen die Fehler aber von 3 Nutzern, oder sehe ich das falsch?

@presonus

Hast du nur 1 PW geändert oder von mehreren?
Was war der Grund für die Änderung?

Die "alte cred" Theorie sehe ich erstmal einleuchtender, da du das PW geändert hast. (frei dem Motto "Wenn man Huf geklapper hört, denk an Pferde nicht an Zebras")

wir hatten die Maildomain von einem englischen M365 Partner auf einen deutschen Partner umgestellt.
Dabei natürlich zwangsläufig das Passwort geändert.
aktuell sieht es so aus, als ob der Brute Force aufgegeben hat.
Seit 30.5. keine Fehlerlogins mehr zu sehen

Servus,

Erstmal gut zu hören das nix mehr kommt.

Aber zum allgemeinen Verständnis, quasi die 3 Nutzer von ENG nach DE migriert (oder nur kopiert?) und dann von denen das PW geändert?

Kann es noch sein das ihr n SSO dazwischen habt welcher die alten PW's noch gecached hatte?